什么是地址投毒？2026 年如何防范加密地址投毒攻击

2024 年，一起地址投毒攻击从一个钱包中盗走了约 7100 万美元的 WBTC。受害者避开了常见陷阱：没有点击恶意链接，也没有泄露助记词。他只是像大多数人一样，从自己的交易记录中复制了地址，然后把资产转到了黑客的地址。这正是此类攻击的特殊之处——它并不依赖受害者的技术失误，而是利用了用户的操作习惯。

Address poisoning crypto（地址投毒）攻击利用了公开的交易记录、仿冒地址以及用户习惯性地从历史记录复制地址的行为。本文将详细解析攻击的具体机制、谁是高风险群体，以及你如何立即采取措施避免成为下一个受害者。防范地址投毒，切记不要从交易历史复制地址，务必使用已保存的地址簿、核对完整收款地址，并在大额转账前先发送小额测试。

地址投毒的运作方式

整个攻击分为三个阶段。理解每一步，是建立防护的最快方式。

第一步：定制化 Vanity 地址

Vanity address（定制化地址）是一种通过反复生成，直到开头字符符合特定要求的区块链地址。整个过程只是外观上的修饰：不断生成密钥，推导出地址，检查是否满足前缀要求，直到成功为止。最终生成的地址与真实地址在视觉上极为相似。

攻击者会利用这一点，生成一个fake crypto address（伪造加密地址），使其与你曾经转账的真实地址在开头和结尾的若干字符完全一致。例如，真实地址可能为 0xA3f9...7c82，而攻击者的仿冒地址则是 0xA3f1...7c82。你能分辨出差异吗？大多数人在钱包界面截断中间字符时，很难察觉到不同。

第二步：投毒交易

一旦仿冒地址生成，攻击者会从该地址向你的钱包发起一笔zero-value transfer（零金额转账），或发送极小的“尘埃”金额。这就是step for the zero-value transfer attack。在大多数链上，这类交易成本几乎可以忽略不计，且无需你做任何操作。

此时，这条“投毒”记录就会出现在你的交易历史中，紧挨着你之前的真实转账。

第三步：陷阱收网

下次你需要向同一收款人转账时，打开交易历史，复制了错误的地址。资金就这样被转到了攻击者手中。

这正是transaction history attack crypto（交易历史攻击）的核心：利用用户对历史记录的信任和习惯。整个过程对受害者没有任何技术门槛，仅仅依赖操作习惯。

现实案例：已有多名受害者因从交易历史复制地址而损失超过 10 万美元。2024 年，一起地址投毒攻击单次盗走了约 7100 万美元的 WBTC。

这些情况风险更高

并非所有人都面临同等风险。攻击者会专门分析链上行为，锁定高价值目标。

如果你经常向同一地址转账，风险更高。规律的转账模式正是攻击者重点关注的对象。他们会监控链上活动，识别“常用收款地址”，并在你完成正常转账后，精准地插入投毒交易。

如果你习惯copy-paste from transaction history（从交易历史复制粘贴地址），风险最大。这是最常见的受害方式。历史记录看似可靠，实则并非如此。

如果你转账前没有核对完整地址，也容易中招。攻击者通常只伪造首尾字符相同的地址。如果你只检查前后六位而忽略中间，很容易被调包。

如果你使用多个钱包，频繁在不同钱包间转账，风险也会提升。多钱包操作意味着交易历史更复杂，投毒地址更容易混入，转账时认知负担更重。归根结底，crypto address spoofing（加密地址伪造）正是利用了用户“以为自己检查过”的心理漏洞。

如何防范？五条核心规则

只要坚持这五条规则，攻击在每个环节都会被阻断。

Rule 1: Never copy from transaction history.

务必使用钱包的地址簿或联系人功能，而不是历史记录。历史记录只显示出现过的地址，并不代表已验证。攻击者可以悄无声息地把伪造地址插入历史记录，但你的地址簿只包含你主动保存的地址。

Rule 2: Verify the FULL address.

每一位都要核查，而不仅仅是前后六位。建议用区块链浏览器粘贴收款地址，核对其交易历史是否与预期收款人一致。区块链浏览器会显示该地址的所有活动和时间戳，便于你在转账前确认收款方身份。每条链都有专属区块浏览器，务必确认你用的是正确的网络。

Rule 3: Send a test transaction first.

大额转账前，先发送 1 美元等小额测试，确认对方收到后再转全款。多花几分钟，多一步验证，值得。区块链转账一旦确认无法撤回。如果交易仍在等待确认，部分链允许替换，但最安全做法始终是提前核实收款地址。

Rule 4: Use an address book in your wallet.

为已验证地址添加标签保存。确认无误后，直接用标签选择收款人，无需重复复制粘贴。对于已保存的联系人，切勿重新输入或复制地址。

Rule 5: Check the source of any dust.

如果收到意外的小额转账（尘埃），切勿使用该地址做任何操作，也不要回转资金。尘埃本身就是诱饵，与之互动即落入陷阱。

Tangem 如何防护地址投毒

包括 Tangem 在内，任何钱包都无法阻止他人在公链上发起尘埃交易。任何人都可以向任意地址发送零金额转账，这是协议层面的现实，而非产品限制。但 Tangem 能让用户更难因操作习惯而中招。

Tangem 硬件钱包多重防护机制

Address Verification on Every Transaction

每次签名前，Tangem App 都会完整显示收款地址，便于用户逐位核对。实体卡片的“贴卡”操作为用户提供了强制性暂停和确认的机会，这是纯软件钱包无法做到的。在 Tangem 的签名流程中，用户在 App 内发起交易，App 生成未签名交易数据，用户贴卡，安全芯片内部完成签名，App 再广播已签名交易。整个流程中，私钥始终不会接触联网设备。这里的防护重点不仅是密钥隔离，更在于每次贴卡前的人工确认环节。

Address Book Integration

Tangem 的地址簿功能支持保存常用收款地址，便于快速选择收款人。已验证的地址通过标签选择，无需再从历史记录复制。无论交易历史如何变化，始终使用已验证的地址。Tangem 还支持手动输入收款地址和扫码转账，进一步减少历史复制的风险。

Hardware-Enforced Confirmation

即使投毒地址混入了操作流程，实体卡片的贴卡动作依然是最后一道人工防线。你会在 App 内完整看到收款地址，核对无误后再贴卡。没有物理确认，交易无法执行。Tangem Mobile Wallet 还在 v5.35 版本中引入了长按确认，防止误触。

One honest limitation: App 的界面就是验证环节。贴卡前完整阅读地址是硬性要求，这一步就是保护措施。

Using Tangem to Avoid Address Poisoning

• 所有常用收款人请使用 Tangem 地址簿管理。
• 每次贴卡前，在 App 内完整核对收款地址。
• 如发现历史记录中的地址与已保存联系人不符，请立即暂停操作并排查原因。

误转到投毒地址后怎么办？

此时速度很重要，但首先要接受一个现实。

已确认的加密交易无法撤销

一旦确认，区块链转账无法取消。比特币网络上，通常 3~6 个确认即视为最终确认，约需 1 小时（每个区块约 10 分钟）。以太坊等链上，类似确认数量只需几分钟（每个区块约 12 秒）。如果交易已确认，技术上资金已无法追回。

即便如此，仍有必要采取如下措施：

Document the transaction hash immediately. TXID 是公开、唯一且永久的转账标识，记录了金额、发送方、接收方、手续费和状态，但不会暴露你的钱包权限。从钱包或区块浏览器复制 TXID 并妥善保存。TXID 公开可查，分享无风险。真正需要保护的是你的私钥和助记词。

Report to your exchange if the destination was an exchange address. 虽然大多数攻击者使用非托管地址，但若收款地址属于某交易所，请立即联系该交易所的合规或风控团队，提供交易哈希、时间戳及相关账户信息。

File a report with your local cybercrime authority. 在美国，可向 FBI 的互联网犯罪投诉中心（IC3）报案；在英国，可联系 Action Fraud。虽然追回资金的可能性极低，但这些报告有助于执法部门追踪更大规模的犯罪活动。

The honest answer: 资金追回极其罕见，预防才是关键。

安全习惯：贴卡前务必核对

Address poisoning crypto 攻击无需高超黑客技术，也无需受害者粗心大意。只要你习惯从历史记录复制地址，而不是从已验证来源选择，就可能中招。2024 年那起 7100 万美元的 WBTC 损失正是如此。已有多位用户因从历史记录复制地址而损失超过 10 万美元。解决之道在于改变习惯和流程：使用地址簿，每次转账前完整核对地址，遇到意外尘埃转账要警惕，转大额前务必先做测试转账。

Tangem 硬件钱包从设计上内置了这些防护：地址簿避免历史复制、每次贴卡前完整显示地址、物理确认步骤强制暂停。虽然无法从协议层面彻底杜绝投毒攻击，但能消除攻击赖以生存的用户习惯。如果你希望钱包能帮你建立“每次都核查”的安全流程，而不是靠记忆自行提醒，Tangem 就是为此而生。前往 tangem.com 了解详情。